Kimlik doğrulama nerede yapılır: TR7'de mi, uygulamada mı, identity provider'da mı?

Kısa cevap

Giriş akışı her zaman TR7'de, AGS tarafından yürütülür: giriş sayfası, MFA, hesap kilitleme ve oturum TR7'dedir. Kimliği kimin doğruladığını akıştaki Authentication Provider türü belirler: Local Database'de TR7; LDAP, RADIUS ve HTTP'de kurumun sunucusu; OAuth2, OpenID Connect ve SAML 2.0'da dış identity provider (IdP); Web Form'da uygulamanın kendi giriş formu; Portal'da Portal modundaki bir vService. Sonucu AGS değerlendirir ve oturumu AGS açar; uygulama kimliği yalnızca Backend SSO ile aktarıldığında görür.

Nasıl Çalışır?

1. Oturumu olmayan kullanıcı vService'in Flowchart akışına alınır.
2. Authentication Provider adımı seçili sağlayıcıyı çalıştırır. Kullanıcı adı ve parola isteyen türlerde bilgiler AGS'nin giriş formundan (Form adımı) alınır; OAuth2, OpenID Connect ve SAML 2.0'da kullanıcı IdP'nin giriş sayfasına yönlendirilir ve dönen yanıt AGS'de doğrulanır.
3. Sonuca göre adımın SUCCESS ya da FAILURE çıkışından devam edilir; FAILURE çıkışı başka bir sağlayıcı adımına bağlanarak kullanıcı ikinci bir kaynakta aranabilir.
4. Gerekiyorsa MFA adımı çalışır; akış Allow ile bitince oturum açılır ve sonraki isteklerde doğrulama tekrarlanmaz.

Karşılaştırma

Authentication Provider türü	Kimliği doğrulayan	TR7'de gereken kayıt
Local Database	TR7	Local Databases kaydı
LDAP, RADIUS, HTTP	Kurumun dizin, RADIUS ya da doğrulama sunucusu	Authentication Servers kaydı
OAuth2, OpenID Connect	Dış sağlayıcı; giriş sağlayıcının sayfasında yapılır	Sağlayıcı profilindeki client bilgileri
SAML 2.0	IdP; giriş IdP'nin sayfasında yapılır	Sağlayıcı profilindeki IdP bilgileri ve SP Entity ID
Web Form	Uygulamanın kendi giriş formu	Sağlayıcı profilindeki form adresi ve alanları
Portal	Portal modundaki vService'in akışı	Portal Gateway seçimi

TR7'de Kimlik Doğrulama

• Sağlayıcılar Configuration Menu → AGS → Authentication Providers ekranında tanımlanır ve Flowchart'ta Authentication Provider adımına bağlanır; aynı akışta birden çok sağlayıcı kullanılabilir.
• Başarısız denemeler Account Lockout Policies ile AGS'de sayılır ve kilit AGS'de uygulanır; etkin kilitler Lockout, denemeler Audit Logs, açık oturumlar Sessions sekmesinde izlenir.

Sık Karıştırılan Noktalar

• "LDAP seçilince parolalar TR7'de saklanır." LDAP, RADIUS ve HTTP türlerinde parola kurumun sunucusunda doğrulanır; TR7'de hesap tutulan tek tür Local Database'dir.
• "SAML 2.0 ya da OpenID Connect'te kullanıcı parolasını AGS'nin formuna yazar." Kullanıcı IdP'nin giriş sayfasına yönlendirilir; AGS, IdP'den dönen yanıtı doğrular.
• "AGS açılınca uygulamanın kendi giriş ekranı kendiliğinden kalkar." AGS uygulamanın girişini değiştirmez; uygulama giriş istemeye devam ediyorsa kimlik Backend SSO ile aktarılır ya da doğrulama Web Form ile uygulamanın formunda yapılır (AGS'yi uygulamamın önüne koyarsam uygulamada kod değişikliği gerekir mi?).

Dokümantasyonda nasıl yapılır

• AGS - AAM · Kimlik doğrulama nerede yapılır
• AGS - AAM · Kimlik doğrulama seçenekleri
• Authentication Providers · Provider Type
• Authentication Servers · Authentication Servers nedir

İlgili sorular

• Authentication Provider nedir; AGS hangi provider türlerini destekler?
• LDAP, RADIUS, SAML 2.0, OAuth2 ve OpenID Connect provider'ları arasında nasıl seçim yapılır?
• AGS bir SSO çözümü müdür; identity provider (IdP) olarak kullanılabilir mi?
• IdP (Identity Provider) ile SP (Service Provider) arasındaki fark nedir?